CERT: भेद्यता प्रकटीकरण नीति

• संपर्क: ?
• वेबसाइट: http://www.cert.org/vulnerability-analysis/vul-disclosure.cfm
• सत्यापित: 2017-09-21

CERT/CC को रिपोर्ट की गई भेद्यताएँ प्रारंभिक रिपोर्ट के 45 दिन बाद जनता के सामने प्रकट की जाएँगी, चाहे प्रभावित विक्रेताओं की ओर से पैच या वैकल्पिक उपाय मौजूद हों या उपलब्ध हों या नहीं। सक्रिय शोषण, विशेष रूप से गंभीर (या मामूली) प्रकृति के खतरे, या किसी स्थापित मानक में बदलाव की आवश्यकता वाली स्थितियाँ जैसी विशेष परिस्थितियों के कारण प्रकटीकरण पहले या बाद में हो सकता है। CERT/CC द्वारा किए गए प्रकटीकरण में रिपोर्टकर्ता को श्रेय दिया जाएगा, जब तक कि रिपोर्टकर्ता अन्यथा अनुरोध न करे। हम प्रभावित विक्रेताओं को अपनी प्रकाशन योजनाओं की जानकारी देंगे और आवश्यकता पड़ने पर प्रभावित विक्रेताओं के साथ वैकल्पिक प्रकाशन समय-सारणी पर बातचीत करेंगे।

इस नीति का उद्देश्य सुरक्षा भेद्यताओं के बारे में जनता को सूचित किए जाने की आवश्यकता और प्रभावी ढंग से जवाब देने के लिए विक्रेताओं को समय की आवश्यकता के बीच संतुलन बनाना है। प्रकाशन समय-सारणी का अंतिम निर्धारण समग्र रूप से समुदाय के सर्वोत्तम हितों के आधार पर होगा।

हमें रिपोर्ट की गई भेद्यताएँ रिपोर्ट मिलने के बाद व्यावहारिक रूप से जितनी जल्दी संभव हो प्रभावित विक्रेताओं को भेज दी जाएँगी। रिपोर्टकर्ता का नाम और संपर्क जानकारी प्रभावित विक्रेताओं को भेज दी जाएगी, जब तक कि रिपोर्टकर्ता अन्यथा अनुरोध न करे। हम रिपोर्टकर्ता को उसकी रिपोर्ट की गई किसी भी भेद्यता की स्थिति में महत्वपूर्ण बदलावों की जानकारी देंगे, उस हद तक जहाँ तक हमें गोपनीयता में दी गई जानकारी उजागर न करनी पड़े।

भेद्यताएँ भेद्यता नोट्स (Vulnerability Notes) में प्रकट की जाएँगी।

अमेरिकी सरकार की वेबसाइटों के लिए भेद्यता रिपोर्ट सरकार के साथ समन्वय के लिए US-CERT को भेजी जाएँगी।

अक्सर पूछे जाने वाले प्रश्न

प्रश्न: क्या इसका मतलब है कि CERT/CC "पूर्ण प्रकटीकरण" की ओर जा रहा है?

उत्तर: यदि "पूर्ण प्रकटीकरण" का मतलब यही है, तो हम एक्सप्लॉइट वितरित नहीं करेंगे। हमारे अनुभव में, एक्सप्लॉइट की उपलब्धता से लाभ पाने वाले लोगों की संख्या, एक्सप्लॉइट का दुर्भावनापूर्ण उपयोग करने वालों से नुकसान उठाने वाले लोगों की संख्या की तुलना में कम है। हालाँकि, हम उन भेद्यताओं के बारे में जानकारी प्रकट करेंगे जो हमने शायद पहले प्रकट न की होतीं। अपने संसाधनों की सीमा में, हम जितनी हो सके उतनी भेद्यताओं के बारे में जानकारी प्रकाशित करेंगे।

प्रश्न: 30 दिन, या 15 दिन, या तुरंत क्यों नहीं?

उत्तर: हमें लगता है कि किसी बड़े संगठन के लिए 45 दिन काफ़ी कठिन समय-सीमा हो सकती है। इसे छोटा करने से समस्या को वास्तव में कोई मदद नहीं मिलेगी। शोषण के प्रमाण के अभाव में, बिना कारण भेद्यताओं की घोषणा करना सार्वजनिक सुरक्षा के सर्वोत्तम हित में नहीं हो सकता।

प्रश्न: यदि कोई समाधान उपलब्ध नहीं है तो क्या भेद्यताओं को गुप्त रखना बेहतर नहीं होगा?

उत्तर: भेद्यताएँ नियमित रूप से खोजी और प्रकट की जाती हैं, अक्सर इससे पहले कि विक्रेताओं को समाधान देने का उचित अवसर मिले, और प्रकटीकरण में अक्सर काम करने वाले एक्सप्लॉइट शामिल होते हैं। हमारे अनुभव में, यदि भेद्यता की जानकारी का ज़िम्मेदार, योग्य प्रकटीकरण नहीं होता, तो भेद्यताएँ खोजने वाले शोधकर्ता, प्रोग्रामर, सिस्टम प्रशासक और अन्य आईटी पेशेवर अक्सर महसूस करते हैं कि विक्रेताओं को समस्या का समाधान करने के लिए बाध्य करने के प्रयास में जानकारी सार्वजनिक करने के अलावा उनके पास कोई विकल्प नहीं है।

प्रश्न: क्या सभी भेद्यताएँ 45 दिनों के भीतर प्रकट की जाएँगी?

उत्तर: नहीं। अक्सर ऐसी परिस्थितियाँ हो सकती हैं जिनके कारण हमें अपनी प्रकाशन समय-सारणी समायोजित करनी पड़े। विशेष रूप से गंभीर खतरे, या जिनके शोषण का प्रमाण हमारे पास हो, संभवतः हमें अपनी प्रकाशन समय-सारणी छोटी करने के लिए प्रेरित करेंगे। जिन खतरों में "कठिन" बदलाव (मानकों में बदलाव, ऑपरेटिंग सिस्टम के मूल घटकों में बदलाव) की आवश्यकता होती है, वे हमें अपनी प्रकाशन समय-सारणी बढ़ाने के लिए प्रेरित करेंगे। हो सकता है कि हम हमें रिपोर्ट की गई हर भेद्यता प्रकाशित न करें।

प्रश्न: क्या आप भेद्यताओं की घोषणाओं से विक्रेताओं को चौंका देंगे?

उत्तर: नहीं। सार्वजनिक प्रकटीकरण से पहले, हम सद्भावना से विक्रेताओं को अपने इरादों की जानकारी देने का प्रयास करेंगे।

प्रश्न: यदि कोई विक्रेता किसी समस्या के आपके आकलन से असहमत है, तो क्या वह जानकारी उपलब्ध होगी?

उत्तर: हाँ। हम प्रमाणित विक्रेता वक्तव्य माँगते और पोस्ट करते हैं और भेद्यता नोट्स में प्रासंगिक विक्रेता जानकारी का संदर्भ देते हैं। हम विक्रेता द्वारा दी गई जानकारी को केवल इसलिए नहीं रोकेंगे कि वह समस्या के हमारे आकलन से असहमत है।

प्रश्न: सार्वजनिक प्रकटीकरण से पहले किसे जानकारी मिलती है?

उत्तर: आम तौर पर, हम जानकारी उन सभी को देते हैं जो समाधान में योगदान दे सकते हैं और जिनके साथ हमारा भरोसेमंद संबंध है, जिनमें विक्रेता (अक्सर वे विक्रेता भी जिनके उत्पाद भेद्य नहीं हैं), समुदाय के विशेषज्ञ, प्रायोजक, और राष्ट्रीय महत्वपूर्ण अवसंरचना का हिस्सा बनी साइटें शामिल हैं, यदि हमें लगता है कि वे साइटें जोखिम में हैं।

प्रश्न: क्या आप हर रिपोर्ट की गई भेद्यता प्रकट करते हैं?

उत्तर: नहीं। हम अपने विवेक से किसी भेद्यता रिपोर्ट का समन्वय या प्रकाशन करने से मना कर सकते हैं। यह निर्णय आम तौर पर भेद्यता के दायरे और गंभीरता तथा समन्वय और प्रकटीकरण प्रक्रिया में मूल्य जोड़ने की हमारी क्षमता पर आधारित होता है। हम समन्वय या प्रकाशन करें या न करें, हम अनुशंसा करते हैं कि रिपोर्टकर्ता सार्वजनिक प्रकटीकरण से पहले प्रभावित विक्रेता को सूचित करने और उसके साथ सीधे काम करने का सद्भावनापूर्ण प्रयास करे।